Warum das Risikomanagement häufig versagt?

FA 734
200
Veröffentlicht in
Risk, Compliance & Audit
3/2009
„Warum das Risikomanagement häufig versagt?
Antworten auf die jüngste Finanzkrise‘‘
S. 12-19
Mit freundlicher Genehmigung
der RC&A-Redaktion,
Bank-Verlag Medien GmbH, Köln
(www.risk-compliance-audit.com)
Ein Service von:
FutureValue Group AG
eMail: [email protected]
Internet: www.FutureValue.de
Risk
Warum das Risikomanagement
häufig versagt?
Antworten auf die jüngste Finanzkrise
Nachdem das Jahr 2008 als das Jahr der Nullen in die Geschichte eingehen wird, kann für die kommenden Jahre
prognostiziert werden, dass Risikomanagementsysteme – auch als Antwort auf die jüngste Finanzkrise – sich
zu „ganzheitlichen“ Unternehmenssteuerungssystemen (Enterprise Risk Management) weiterentwickeln werden.
Risikomanagement wird integraler Bestandteil von wertorientierten Steuerungssystemen. Risiken werden in den
Planungssystemen berücksichtigt werden. Die Risikosteuerung bzw. Risikobewältigung wird sich in den nächsten Jahren
weiterentwickeln und professionalisieren. Durch die in den vergangenen Jahren aufgezeigten Grenzen der privaten
Versicherung (etwa Terrorismus-, Naturkatastrophenexposure) werden innovative Wege der Risikofinanzierung bzw.
des Risikotransfers (etwa Captive, Multi-Trigger, Contingent Capital, Asset Backed Transactions, Securitization) an
Bedeutung gewinnen. Unabdingbare Voraussetzung für die Nutzung derartiger Instrumente ist ein professionelles
Risikomanagement.
1. Risikomanagement im Kontext der Unternehmensführung
Im Zusammenhang mit der Ursachenanalyse der jüngsten
Finanzkrise wird von vielen Seiten immer wieder behauptet,
dass eine massive Unterschätzung von Risiken in der Folge
eines unzulängliches Risikomanagement und die „Gier“ in den
Chefetagen die wesentlichen Gründe für die Exzesse an den
internationalen Finanzmärkten darstellen. Die eigentlichen
Ursachen sind jedoch komplexer: Ein primärer Grund für die
Blasenentwicklung auf dem US-Immobilienmarkt liegt in der
Niedrigzinspolitik der US-amerikanischen Notenbank nach den
Terroranschlägen vom 11. September 2001. Der damalige USNotenbankchef Alan Greenspan wollte mit einer drastischen
Senkung der Leitzinsen eine Rezession der amerikanischen
Wirtschaft verhindern. In einem boomenden Immobilienmarkt
vergaben die Banken „billige“ Kredite an US-Bürger, die sich
den Traum vom Eigenheim verwirklichen wollten. Im Glauben
an ewig steigende Immobilienpreise wurden auch Kredite an
Kreditnehmer vergeben, bei denen klar sein musste, dass sie
die Hypothek bei wieder steigenden Zinsen nicht würden bezahlen können. Durch die Verbriefung und den Verkauf der
Kreditrisiken haben sich die ursprünglichen Gläubiger des
Ausfallrisikos entledigt, so dass sie sorglos wurden und Kredite vergeben haben, die sie nicht vergeben hätten, wenn sie das
Risiko in den eigenen Büchern behalten hätten.
Die verbrieften – angeblich risikofreien Papiere – wurden
dann sehr gerne von Banken, Versicherungen und Hedgefonds
12
weltweit ins Portfolio genommen, da deren Kunden, Investoren
und Aufsichtsräte eine hohe Rendite verlangten. Im dem Kontext wurden Risiken von vielen Marktteilnehmern zunächst
ausgeblendet. Nicht nur Banken und Versicherungen wurden
von der Wucht der Hypotheken- und Finanzkrise überrascht.
Der Börsenwert vieler Unternehmen sank um viele Milliarden.
Allein in der zweiten Oktoberwoche 2008 verloren die Leitindizes aller großen Börsenplätze zwischen 20 und 25 Prozent
ihres Werts. In der Folge haben auch viele Unternehmen aus
Industrie, Handel und Verwaltung die Belastbarkeit ihrer Frühwarn- und Risikomanagementsysteme in Frage gestellt.
Bei einer retrospektiven Analyse stellt sich die Frage, ob der
klassische Werkzeugkasten des Risikomanagements ausgereicht hätte, um Fehlentwicklungen zu erkennen. Bereits in
der Folge des KonTraG (Gesetz zur Kontrolle und Transparenz
im Unternehmensbereich) im Jahr 1998 wurden zunächst
Aktiengesellschaften explizit zum Aufbau von Risikomanagementsystemen verpflichtet. Verstärkt wenden sich nun auch
mittelständische, nicht-börsennotierte Unternehmen, Verbände und öffentliche Einrichtungen dem Thema zu. Impulse für
eine Beschäftigung mit dem Risikomanagement gehen dabei
unter anderem von der Baseler Eigenmittelvereinbarung (Basel-II-Akkord) und von der Konzeption eines wertorientierten
Managements aus.
Parallel haben sich die Methoden des Risikomanagements
weiterentwickelt. Klassische, deterministische Prognose- und
Frühwarnsysteme werden einer dynamischen, stochastischen
und von Strukturbrüchen gekennzeichneten Unternehmens-
Risk, Compliance & Audit 3/2009
Risk
umwelt nicht gerecht. Die Zukunft gehört modernen, dynamischen und stochastischen Simulationsansätzen. So wird etwa
in der Versicherungsbranche die dynamische Finanzanalyse
(Dynamic Financial Analysis) in den nächsten Jahren stark an
Bedeutung gewinnen.1 Verstärkt wird diese Entwicklung zudem durch neue regulatorische Anforderungen.
Auch die Konzeption eines wertorientierten Managements
gewinnt eine immer größere Bedeutung. Bei einem begrenzten Angebot an Kapital und Risikotragfähigkeit sowie global
gesehen unendlich vielen Investitionsmöglichkeiten wird der
Wettbewerb um Kapital immer intensiver. Kapitalgeber und
Kreditinstitute setzen ihr Kapital dort ein, wo sie den größten
Wertzuwachs erwarten können. Der Wert eines finanziellen
Engagements hängt sowohl von den zukünftigen Erträgen als
auch von den damit verbundenen Risiken ab. Eine Orientierung am Unternehmenswert als Erfolgsmaßstab ist daher eine
naheliegende Forderung an die Unternehmensführung, die
nicht zu verwechseln ist mit einer Orientierung am aktuellen
Börsenkurs.
Alle genannten Aspekte verdeutlichen, dass die Bedeutung
des Risikomanagements im Kontext der Unternehmensführungsaufgaben weiter zunehmen wird. Die Vorteile eines
systematischen Risikomanagements sind offenkundig: Transparenz über die Risikosituation, Frühaufklärung und Krisenprävention sowie die Möglichkeit, bei unternehmerischen Entscheidungen die erwarteten Erträge mit den eingegangenen
Risiken abzuwägen.
2. Schwächen formaler Risikomanagementsysteme
und Verbesserungspotenziale
Oft wird Risikomanagement – dies verdeutlicht die aktuelle
Finanzkrise – aber immer noch als lästige und bürokratische
Pflichtübung verstanden und nicht als Kernaufgabe der strategischen Unternehmensführung. Formale Risikomanagementsysteme, die durch regulatorischen Druck aufgebaut wurden,
zeigen nicht selten erhebliche Defizite. Die folgende Liste skizziert zusammenfassend Schwach- und Ansatzpunkte für den
Ausbau des Risikomanagements.2
t Schwächen bei der Risikoanalyse: Im Rahmen der Risikoanalyse – also bei der Identifikation und Bewertung
von Risiken – werden Risiken vielfach wenig systematisch
identifiziert und unbefriedigend quantifiziert. Entweder
1 Vgl. Romeike, F. (2008): Dynamische Finanzanalyse (DFA) in der
Versicherungswirtschaft, in: Romeike, F./Müller-Reichart, M.: Risikomanagement in Versicherungsunternehmen, 2. Auflage, Weinheim 2008, S.
333-347.
2 In Anlehnung an Gleißner, W./Romeike, F. (2005): Risikomanagement,
Freiburg im Breisgau, S. 376 ff.
Risk, Compliance & Audit 3/2009
fehlt die Quantifizierung komplett oder es werden lediglich
sehr einfache Beschreibungen des Risikos vorgenommen
– beispielsweise anhand von Schadenshöhe und Eintrittswahrscheinlichkeit. Hier wären andere Arten der Risikobeschreibung angemessen – beispielsweise basierend auf
stochastischen Methoden. Auch die Wechselwirkungen
zwischen Risiken werden oft nicht erfasst. Häufig lässt
sich bei der Risikoidentifikation zudem feststellen, dass ein
strategischer Bezug fehlt. Es wird insbesondere nicht analysiert, welchen Bedrohungen die langfristigen Erfolgsfaktoren des Unternehmens – wie Wettbewerbsvorteile und
Kernkompetenzen – ausgesetzt sind.
t Fehlen von Risikoaggregationsverfahren: Eine akzeptable Risikoaggregation schließt aus der Menge der
identifizierten und bewerteten Einzelrisiken auf den Gesamtrisikoumfang des Unternehmens. Die Risikoaggregation soll einerseits aufzeigen, in welchen risikobedingten
Streuungsbändern sich wichtige Unternehmenszielgrößen
– wie zum Beispiel der Cashflow – bewegen werden. Andererseits wird durch die Risikoaggregation deutlich, wie
viel Eigenkapital erforderlich ist, um die durch die Risiken
möglicherweise entstehenden Verluste aufzufangen und
damit eine Überschuldung bzw. Illiquidität des Unternehmens wirksam zu verhindern. Gleichwohl wäre eine systematische Risikoaggregation für eine fundierte Herleitung
des Ratings sehr hilfreich. Ist es nicht möglich, den Eigenkapitalbedarf eines Unternehmens zu bestimmen, können
auch keine risikogerechten Kapitalkostensätze für die wertorientierte Unternehmensführung abgeleitet werden.
t Fehlende Integration des Risikomanagements in Unternehmensplanung und Controlling: Risiken führen zu
Abweichungen der tatsächlichen von den geplanten Unternehmensergebnissen. Für einen ökonomisch sinnvollen
Umgang mit Risiken müssen diese daher in den Kontext
der Unternehmensplanung gestellt werden. Ein so verstandenes Risikomanagement ermöglicht eine „Aufrüstung“
der vorhandenen Systeme zur Unternehmensplanung und
zum Controlling. Risikomanagement ist folglich keine eigenständige Aufgabe, sondern ein integraler Bestandteil
eines fundierten Unternehmenssteuerungskonzepts.
t Überbürokratische Organisation der Risikomanagementsysteme: Effiziente Risikomanagementsysteme
nutzen möglichst die vorhandenen Organisations- und
Berichtsstrukturen des Unternehmens. Die Kritik an den
heute umgesetzten KonTraG-orientierten Risikomanagementsystemen resultiert zum einen daher, dass unnötiger
bürokratischer Aufwand betrieben wurde. Zum anderen
wird kritisiert, dass sich Risikomanagementsysteme mit
13
Risk
einer Vielzahl von Risiken auseinandersetzen, die eigentlich nur von geringer Bedeutung für das jeweilige Unternehmen sind. Häufig haben die implementierten Risikomanagementsysteme im Wesentlichen noch statischen
Charakter. Dynamische Frühaufklärungs- und Prognosesysteme zur frühzeitigen Identifikation beispielsweise einer unerfreulichen Umsatzentwicklung fehlen meist.
t Defizite bei der Risikobewältigung: Ökonomischen Nutzen entfalten Risikomanagementsysteme erst dann, wenn
die zusätzlich vorhandenen Informationen über die Risiken
des Unternehmens auch zur Optimierung der Risikobewältigung genutzt werden. Da Unternehmertum zwangsläufig mit dem Eingehen von Risiken verbunden ist, geht es
bei der Risikobewältigung keinesfalls um die Verbannung
sämtlicher Risiken aus dem Unternehmen. Vielmehr soll
das Chancen-Risiko-Profil des Unternehmens optimiert
werden. Die Maßnahmen zur Risikobewältigung beschränken sich aber in vielen Unternehmen immer noch auf den
Abschluss von Versicherungen. Die Risikokosten sind noch
oft intransparent. Insbesondere durch die zukünftigen Anforderungen für ein gutes Rating werden gezielte Maßnahmen der Risikobewältigung – auch jenseits von Versicherungslösungen – einen immer größeren Stellenwert in der
Unternehmenspraxis gewinnen.
t Defizite im Umgang mit Managementrisiken: Viele Risiken sind letztlich auf ein mögliches Fehlverhalten von
Menschen zurückzuführen. Unter den personenbezogenen,
operationellen Risiken haben die Managementrisiken mit
weitem Abstand die größte Bedeutung. Dieser Typ von Risiken kennzeichnet die Möglichkeit, dass die Unternehmensführung eine grundlegende strategische Fehlentscheidung
trifft, die bei den vorhandenen Informationen eigentlich
vermeidbar wäre. Vielfach wird gar nicht erst versucht,
alle für eine wesentliche Entscheidung relevanten Informationen zu beschaffen und diese zielorientiert auszuwerten. Natürlich kann – wegen der Unvorhersehbarkeit der
Zukunft – nicht erwartet werden, dass das Management
stets die – im Nachhinein – optimale Entscheidung trifft.
Managementrisiken sollten daher immer bewertet werden
unter Berücksichtigung derjenigen Informationen, die dem
Management zum Entscheidungszeitpunkt zur Verfügung
standen oder mit vertretbarem Aufwand hätten beschafft
werden können.
3. Fehlendes Risiko-Rendite-Kalkül und intransparente Planungssicherheit
Viele Unternehmen, Hedge-Fonds, Private-Equity-Fonds und
wohl die meisten anderen (institutionellen) Anleger streben
nach einer Maximierung der Rendite. Und damit verletzen sie
das Grundprinzip einer wertorientierten (oder auch nutzenorientierten) Unternehmensführung: Nämlich das Abwägen
der erwarteten Rendite und der Risiken. Bei vielen „Opfern“
der jüngsten Finanzkrise war jeder investierte Cent gleichbedeutend mit sicherem Gewinn. Das gilt übrigens sowohl
für Investoren wie auch Originatoren. So scheiterten viele
Marktteilnehmer u. a. am wenig differenzierten und stark auf
Strukturierung ausgerichteten Geschäftsmodell. Betrachtet
man ausschließlich die dort in den vergangenen Jahren erwirtschafteten Gewinne, war diese Konzentration eine rationale
Entscheidung. Ob 15 Prozent prognostizierte Rendite aber gut
oder schlecht sind, kann man nicht beurteilen, wenn keine
quantitativen Informationen über den Risikoumfang zum Vergleich verfügbar sind. Die notwendige Information über den
aggregierten Risikoumfang, also den realistischen Umfang
möglicher Planabweichungen, wird oft nicht berechnet und
erst recht nicht kommuniziert.
Welche Aktiengesellschaft oder welcher Analyst schafft
Transparenz über seine Planungssicherheit? Wer will hören,
dass die „Cash Cow“ bald zum Millionen- oder gar Milliardengrab werden soll, wenn gerade wieder ein Rekordergebnis erzielt wurde? Die Vorgabe eines Renditeziels ohne Risikoadjustierung („risikoadjustierte Performance“) führt zur gezielten
Auswahl riskanter originärer Geschäfte und einem Bestreben,
deren Rendite durch den Einsatz von Fremdkapital immer
mehr zu hebeln (Leverage). Selbst Obergrenzen für den (aggregierten) Gesamtrisikoumfang fehlen oft. Die Orientierung
an der Rendite und die weitgehende Vernachlässigung der
eingegangenen Risiken ist einer der primären Treiber für die
jetzige Finanzkrise.3
Risiken können, schon wegen aufsichtsrechtlicher Anforderungen, trotz der erwähnten primären Ausrichtung auf Rendite nicht komplett ignoriert werden. Allerdings werden die
wahrgenommenen Risiken tendenziell, zum Teil auch noch
gravierend, unterschätzt. Ursächlich hierfür sind methodische
Schwächen im Risikomanagementinstrumentarium, das im
Wesentlichen noch immer von „Normalverteilungshypothese“
und „Random-Walk“ ausgeht – was Benoît B. Mandelbrot als
Annahme einer „milden Zufälligkeit“ im Gegensatz zur tat-
3 Vgl. Gleißner, W./Romeike, F. (2008): Analyse Subprime-Krise: Risikoblindheit und Methodikschwächen, in: RISIKO MANAGER 21/2008, S. 1,
8-12.
14
Risk, Compliance & Audit 3/2009
Risk
sächlichen „wilden Zufälligkeit“ bezeichnet hat.4 So konnte in
Analysen nachgewiesen werden, dass nach dem Gauß’schen
Modell ein Börsencrash – wie etwa im Oktober 1987 – nur
einmal in 1087 Jahren eintreten dürfte. Die empirische Beobachtung hat jedoch gezeigt, dass derartige Crashs etwa alle 38
Jahre eintreten.5 Wer sich auf die Normalverteilung und Modelle der geometrischen Brownschen Bewegung verlässt, blendet
Risiken systematisch aus und wird irgendwann von der Realität
an den Finanzmärkten überholt. Noch immer berücksichtigen
viele Risikomanagementsysteme zu wenig die empirischen Erkenntnisse, dass der Risikoumfang selbst volatil ist (GARCHProzess) und extreme Marktbewegungen („crashs“) wesentlich
häufiger auftreten als dies der Standardansatz nahe legt. Die
notwendigen Verfahren (beispielsweise aus der Extremwerttheorie bzw. aus dem Ansatz der pareto-stabilen Verteilungen) zur
Beschreibung und Steuerung von Risiken haben bis heute nicht
die notwendige Verbreitung gefunden. Entsprechend wurden
die in letzter Zeit zu beobachtenden extremen Marktbewegungen von vielen Marktteilnehmern als so unwahrscheinlich eingeschätzt, dass diese keiner Beachtung wert wären. Die jüngste
Finanzkrise ist dafür ein Paradebeispiel.
Ergänzend ist zu beachten, dass im Allgemeinen in den Risikomodellen unterstellt wird, dass „Gewissheit“ besteht über die
quantitative Beschreibung der Risiken (etwa die Parameter der
Wahrscheinlichkeitsverteilung). Tatsächlich ist (etwa aufgrund
der Begrenztheit historischer Daten) die Risikomodellierung
selbst unsicher, es existieren Wahrscheinlichkeitsverteilungen
zweiter Ordnung, beispielsweise weil für Modellparameter nur
Bandbreiten und keine exakten Werte ermittelbar sind. So ist
etwa die zukünftige Korrelationsstruktur der Rendite einzelner
Assetklassen unsicher. Derartige „Metarisiken“ (Schätz- und
Modellrisiken) erhöhen den tatsächlichen Risikoumfang – und
werden in der Praxis im Allgemeinen noch vernachlässigt.
Diese „Anmaßung von Wissen“ über die Zusammenhänge
der realen Welt impliziert Scheingenauigkeiten und Scheinzuverlässigkeit der Systeme. Ergebnis: Der aggregierte Gesamtrisikoumfang wird unterschätzt und ist nicht mehr durch die
Risikotragfähigkeit gedeckt.
Die Quantifizierung von zukünftigen Risiken und die
Schätzung von Modellparametern, geschehen primär auf der
Grundlage von historischen Daten. Dies ist sicher im Grundsatz nicht zu kritisieren, jedoch fehlt oft ein tieferes ökonomisches Verständnis dessen, was die statistisch geschätzten
Daten ausdrücken – oder nicht ausdrücken. So herrscht noch
immer Verwunderung vor, wenn in Krisenszenarien die Kor4 Vgl. Mandelbrot, B. B./Hudson, R. L. (2005): Fraktale und Finanzen:
Märkte zwischen Risiko, Rendite und Ruin, München.
5 Vgl. Romeike, F./Heinicke, F. (2008): Schätzfehler von „modernen“ Risikomodellen, in: Finance, Heft 2/2008.
Risk, Compliance & Audit 3/2009
relationen der Renditen von Assetklassen gegen Eins gehen –
der gewünschte Diversifikationseffekt im Portfolio also gerade
dann verloren geht, wenn er gebraucht wird.
Prognostizierte Renditeerwartungen sind oft zu hoch, weil
der Bezug zum volkswirtschaftlichen Rahmen nicht beachtet
wird. Dabei werden auch grundlegende makroökonomische
Entwicklungen übersehen, beispielsweise – im positiven wie
im negativen – selbstverstärkende Prozesse in der Volkswirtschaft. So führt die in den letzten Jahren feststellbare starke
Zunahme der Immobilienpreise dazu, dass Kreditinstitute
wegen der gestiegenen Werte mehr Sicherheiten anerkennen,
was zu einer Expansion des Kreditvolumens führt und über
die zusätzlichen Immobiliennachfrage die Preissteigerung
verstärkt – bis durch irgendeinen Auslöser dieser Prozess in
die umgekehrte Richtung umschlägt und sich dann die nun
nötigen Sicherheiten entwerten. In den Ausfallstatistiken der
Subprime Deals überdeckte der Hauspreisanstieg die Verschlechterung der Kreditqualität. Hohe Ausfallzahlen wurden
so durch hohe Recovery Rates kompensiert. Eine Berücksichtigung grundlegender volkswirtschaftlicher Zusammenhänge
bei der Risiko-Rendite-Einschätzung hätte hier zu anderen Entscheidungen geführt.
4. Fiktion der Vollkommenheit von Märkten
Nicht erst durch den (etwas überraschenden) Ruf von verschiedener Seite nach Interventionen von Zentralbanken und
Staaten auf den Finanzmärkten stellt sich die Frage, wie vollkommen und effizient diese sind. Entgegen nahezu sämtlicher
empirischer Resultate wird im Kapitalanlagemanagement und
im Risikomanagement der Kreditinstitute und Fonds meist
noch weitgehend die Hypothese eines „vollkommenen Marktes“ verwendet. Tatsächlich gibt es jedoch Insolvenzen und
Insolvenzkosten, ungleich verteilte Informationen, Finanzierungsrestriktionen und Liquiditätsengpässe und damit Marktrationierungen – die insbesondere auch einen „Spill-Over“
finanzwirtschaftlicher Krisen auf die Realwirtschaft bewirken
können, mit den entsprechenden gegenseitigen Verstärkungseffekten, die wir möglicherweise nun erleben. Die Fiktion der
vollkommenen Märkte wird speziell bei Bewertungen und einer kapitalmarktorientierten Unternehmensführung deutlich.
Bei der Bewertung von Krediten und erst recht von Aktien
werden Modelle wie das CAPM (Capital Asset Pricing Modell)
genutzt, dass heißt es wird die durchschnittliche Risikoeinschätzung des Kapitalmarkts für die Bewertung herangezogen
– und ein ggf. verfügbarer besserer eigener Informationsstand
vernachlässigt.
15
Risk
Die Bewertungen sind oft nicht einmal planungskonsistent
und damit nicht rational. Eine wertorientierte Unternehmensführung, die klar von einer kapitalmarktorientierten zu unterscheiden ist, muss derartige Kapitalmarktunvollkommenheiten zur Kenntnis nehmen – und dies gilt insbesondere auch
für das Risikomanagement der Kreditinstitute. Bei einem
wertorientierten Managementverständnis werden die besten
verfügbaren Informationen, speziell auch über die Risiken,
entscheidungsorientiert ausgewertet. Deshalb wird beispielsweise der bewertungsrelevante Risikoumfang unmittelbar
(planungskonsistent) aus den gesamten verfügbaren, auch unternehmensinternen Daten abgeleitet – nicht alleine aus historischen Börsenkursen (Beta-Faktor) oder externen Ratings.
Kapitalmarktorientiertes Management geht dagegen von der
Fiktion aus, dass alle relevanten Informationen in den aktuellen Kursen enthalten sind und ignoriert damit, dass irrationale
Verhaltensweisen oder ein eventuell sogar rationaler „Herdentrieb“ die aktuellen Marktpreise deutlich von den fundamentalen Werten entfernen kann. Unvollkommene Märkte sind oft
durch eine Mengenrationierung auf der Angebots- oder Nachfrageseite geprägt, was die Liquidität der Märkte beschränken
und aktuelle Marktpreise implizieren kann, die erheblich von
den an sich fundamental angemessenen Werten abweichen
können. Aus Marktunvollkommenheiten resultierende Rationierungen führen zu erheblichen zusätzlichen Preisrisiken,
die in den meisten Risikomanagementsystemen, die auf der
Fiktion vollkommener Märkte basieren, nur unzureichend abgebildet werden.
5. Kenntnisdefizite, psychologische Aspekte und
persönliche Interessen
Es gibt sehr viele Gründe dafür, dass die genannten Problembereiche in vielen Unternehmen noch bestehen und am Ausbau des Risikomanagements nur sehr zögerlich mit geringer
Priorität gearbeitet wird. Die trotz des offensichtlich ökonomischen Nutzens des Risikomanagements bestehenden Hemmnisse lassen sich in drei Gruppen einteilen: Kenntnisdefizite,
psychologische Aspekte und persönliche Interessen.
Kenntnisdefizite
Risikomanagement ist heute noch kein Ausbildungsschwerpunkt für potenzielle Manager und hat nur einen vergleichsweise geringen Zeitanteil im Studium der Ökonomen. Dies
führt einerseits zu begrifflichen Missverständnissen und andererseits zur Unkenntnis von tatsächlich in diesem Bereich
16
verfügbaren Methoden. Wenn die Verfahren der Risikoquantifizierung oder Risikoaggregation beispielsweise nicht bekannt
sind, wundert es nicht, dass die Verfahren in der Praxis auch
nicht angewendet werden. Zudem wird die Bedeutung von
Risikoinformationen für die Unternehmenssteuerung unterschätzt, wenn unbekannt ist, wie diese beispielsweise für Ratingprognosen (und damit für die Krisenprävention) oder zur
Ableitung von Kapitalkostensätzen im Rahmen des wertorientierten Managements genutzt werden können.
Im Speziellen ergeben sich die im Folgenden skizzierten
fachlichen und methodischen Defizite:
t Risiken werden nicht oder nicht adäquat quantitativ
beschrieben: Oft wird versucht die Quantifizierung von
schwer quantifizierbaren Risiken zu umgehen. Aber durch
die nicht Quantifizierung erfolgt (scheinbare) letztlich eine
Quantifizierung zu Null, weil das Risiko bei der Bestimmung des Gesamtrisikoumfangs vernachlässigt wird, was
zu einer Unterschätzung der Risikoposition des Unternehmens führt. Zudem ist die Quantifizierung von Risiken mit
Schadenshöheneintrittwahrscheinlichkeit (Binominalverteilung) bei vielen Industrieunternehmen und durch Normalverteilung (bei vielen Banken) in vielen Fällen unangemessen. Notwendig sind Quantifizierungsmethoden, die
den tatsächlichen stochastischen Charakter des jeweiligen
Risikos gerecht werden - was insbesondere auch erfordert,
sich mit der Möglichkeit von „Extremrisiken“ zu befassen
und diese adäquat quantitativ zu beschreiben (etwa durch
eine so genannte Pareto-Verteilung oder andere Instrumente der Extremwerttheorie).
t Fehlende Bestimmung des Gesamtrisikoumfangs:
Obwohl es seit rund zehn Jahren als Anforderung im
Prüfungsstandard 340 des Instituts der Deutschen Wirtschaftsprüfer (IDW) als Konkretisierung des Kontroll- und
Transparenzgesetzes (KonTraG) vorgeschrieben ist, verfügen noch immer die meisten Unternehmen nicht über
adäquate Verfahren der Risikoaggregation. Damit sind die
meisten Unternehmen nicht in der Lage tragfähige Aussagen darüber zu treffen, wie hoch das aggregierte Verlustpotenzial durch die Gesamtheit der Risiken ist und welcher
Bedarf an risikotragenden Eigenkapital damit besteht. Das
Fehlen von Risikoaggregationsmodellen führt dazu, dass
gerade die wesentliche Aufgabe des Risikomanagements
nicht erreicht wird, nämlich die Bestandsbedrohung durch
die Gesamtheit der Risiken zu beurteilen. Auch die Nutzung von Risikoinformationen, beispielsweise für RatingPrognosen oder die Ableitung risikogerechter Diskontierungszinssätze bei Investitionsentscheidungen, erfordert
die Ergebnisse einer Risikoaggregation. Ohne Risikoag-
Risk, Compliance & Audit 3/2009
Risk
gregationsmodell ist ein erheblicher Mehrwert, den man
durch ein Risikomanagement erwarten kann, nicht erreichbar – es gelingt eben gerade nicht bei unternehmerischen
Entscheidungen die erwarteten Erträge und die mit diesen
verbundenen Risiken gegeneinander abzuwägen. Durch
die Aggregation von Risiken im Kontext der Planung,
durch die simulationsbasierte Berechnung einer großen
repräsentativen Anzahl möglicher Zukunftsszenarien des
Unternehmens, bieten Risikosimulationsverfahren zudem
die Möglichkeit die vorhandene Planungssicherheit des
eigenen Unternehmens einzuschätzen – auch diese Option wird vergeben, wenn Risikoaggregationsmodelle in der
Praxis nicht eingesetzt werden.
t Fehlende Vernetzung von Risikomanagement mit anderen Managementsystemen: In vielen Unternehmen
wird wenig effizient ein weitgehend separates Risikomanagement als formale Pflichtübung realisiert. Effiziente,
in der Organisation akzeptierte und mehrwertschaffende
Risikomanagementfähigkeiten eines Unternehmens basieren dagegen im Wesentlichen auf der Grundidee, die
hierfür erforderlichen Arbeiten zu weit möglich in bereits
bewährte Managementsysteme (beispielsweise Controlling
oder Qualitätsmanagement) zu integrieren. So ist es offenkundig leicht möglich, im Rahmen von Planung und Budgetierung unsichere Planannahmen (eben gerade Risiken)
systematisch zu erheben und bei der Abweichungsanalyse
im Controlling die Abweichungsursachen (wiederum die
Risiken) aufzudecken. Ein „isoliertes“ Risikomanagement
ist ineffizient, wird im Unternehmen nicht die notwendige Akzeptanz finden und die Informationen des Risikomanagement werden nicht in einer Weise aufbereitet, die
dazu beiträgt, bessere unternehmerische Entscheidungen
zu treffen.
t Blindheit für Metarisiken: Die Vernachlässigung von
Parameterunsicherheiten (Metrisiken), die sowohl bei subjektiven Schätzungen von Parametern, wie auch bei Parametern, die aus historischen Daten abgeleitet werden, auftreten, führen zu einer unangemessenen Unterschätzung
eines Risikos. Nach Crouhy, Galai und Mark6 können die
folgenden Ursachen für Metarisiken bzw. Modellrisiken
unterschieden werden:
– Fehlerhafte/falsche Modelle und falsche Spezifizierungen im Modell
– Fehler in der analytischen Lösung
– Fehlerhafte Spezifizierung der unterliegenden stochastischen Prozesse
6 Vgl. Crouhy, M./Galai, D./Mark, R. (1998): Model Risk, in: Journal of
Financial Engineering, (1998); Vol. 7 (3/4), S. 267–288.
Risk, Compliance & Audit 3/2009
– Fehlende Risikofaktoren im Modell
– Fehlende Elemente im Modell
– Falsche Klassifizierungen oder Identifizierung untersuchter Parameter
– Falsche Implementierung von Modellen
– Falsche Modellkalibrierung
– Falsche Verarbeitung von Marktdaten
– Falsche Modellanwendung
Psychologische Aspekte
Die psychologische Forschung zeigt, dass Menschen eine ausgeprägte Aversion gegenüber Risiken und (mehr noch) Verlusten haben. Aus dem Bedürfnis der Menschen, ihr Umfeld zu
kontrollieren und kognitive Dissonanzen zu vermeiden,7 ergeben sich erhebliche Konsequenzen auch für das unternehmerische Risikomanagement: Vorhandene Risiken werden bewusst
oder unbewusst ignoriert, sinnvolle Risikobewältigungsverfahren damit nicht genutzt und eingetretene Planabweichungen
im Nachhinein nicht im Hinblick auf die ursächlichen Risiken
analysiert. Verstärkt wird dies oft dadurch, dass Risiken mit
Managementfehlern verwechselt werden und nicht als zwangsläufige Notwendigkeit jeglicher unternehmerischer Tätigkeit
wahrgenommen werden. Darüber hinaus zeigen Befragungen
von Managern, dass diese eine erheblich vom wissenschaftlichen Bild abweichende Vorstellung von Risiken haben.8 Die
Risikowahrnehmung und Risikobereitschaft im Management
ist stark geprägt durch persönliche Charakteristika und den
aktuellen Kontext.9 So ist die Risikoneigung von Managern in
einer wahrgenommenen Verlustsituation (unterhalb einer vorgegebenen Zielgröße) wesentlich ausgeprägter, als wenn sich
der Manager in einer Situation sieht, in der er seine Ziele bereits erreicht hat.10 Insgesamt nehmen Manager Risiko nicht
als Wahrscheinlichkeitskonzept wahr und die Einschätzung
eines Risikos ist im Wesentlichen durch die potenzielle Schadenshöhe nicht durch die Eintrittswahrscheinlichkeit geprägt.
Ein Risiko wird als „managebar“ aufgefasst, obwohl es eigentlich gerade die nicht vorhersehbaren (zufälligen) Veränderungen in der Zukunft erfasst (vgl. Abbildung 1).
7 Siehe beispielsweise von Nitzsch, R. (2003): Investitionslehre – Grundlagen, Modelle und Kalküle, Aachen.
8 Siehe beispielsweise March, J. G./Shapira, Z. (1987): Managerial Perpectives on risk and risk taking, Management Science 11/1987.
9 Siehe beispielsweise Slovic, P. (2004): What‘s fear got to do with it? It‘s
affect we need to worry about, in: Missouri Law Review, 69, 971-990.
10 Siehe hierzu die Procpect-Theorie von Tversky und Kahneman: Tversky,
A./Kahneman, D. (1979): Prospect Theory: An Analysis of Decision under
Risk, in: Econometrica, Vol. 47, No. 2. (Mar., 1979), pp. 263-292.
17
Risk
Abbildung 1: Psychologische Risiken
Persönliche Interessen
Risikoanalysen schaffen Transparenz über die Risikosituation,
was zu einer Verbesserung unternehmerischer Entscheidungen unter Unsicherheit maßgeblich beiträgt. Obwohl dies im
Interesse eines Unternehmens und seiner Eigentümer ist, ist
die mit der Risikoanalyse einhergehende Transparenz nicht
zwangsläufig auch im persönlichen Interesse jedes Managers.
Transparenz schafft Nachvollziehbarkeit, ermöglicht kritische
Diskussionen von Annahmen und ein fundiertes Abwägen
prognostizierter Erträge mit den dafür eingegangenen Risiken.
Gefordert wird ein Mehr an analytischen Fähigkeiten und eine
nachvollziehbare Begründung getroffener Entscheidungen
– und zudem wird im Nachhinein eine Überprüfbarkeit der
Leistungen (Performancemessung) wesentlich fundierter, weil
beispielsweise eingetretene Planabweichungen auf im Vorhinein genannte Risiken zurückgeführt werden können.
Bei der erstmaligen Einführung oder dem Ausbau eines
Risikomanagementsystems sollte man sich der genannten
Hemmnisse bewusst sein. Es gilt zunächst, das erforderliche
Wissen über die verfügbaren Instrumente zu verbessern, für
psychologische Hemmnisse im Umgang mit Risiko und Risikomanagement zu sensibilisieren und die Voraussetzungen
dafür zu schaffen, dass die betroffenen Mitarbeiter des Unternehmens durch das Risikomanagement nicht unangemessene
persönliche Nachteile vermuten.
Bei einer subjektiven Einschätzung des Risikoumfangs ist es
notwendig, dass die befragten Mitarbeiter möglichst korrekte
Schätzungen abgeben. Hierzu dienen zunächst methodische
Hilfsmittel. So trägt zur Qualitätssteigerung subjektiver Risikoeinschätzungen beispielsweise wesentlich bei, wenn für
jede quantitative Risikoeinschätzung eine konkrete Begründung (ein Rechengang) gefordert wird und wenn auf mögliche
psychologisch bedingte Quellen für eine Risikofehleinschätzung hingewiesen wird.
18
Darüber hinaus sollte jedoch auch sichergestellt werden,
dass die betreffenden Mitarbeiter ein Eigeninteresse an einer
korrekten Angabe eines Risikos haben. So sollte beispielsweise der potenzielle Leiter eines Projektes nicht per se ein
Eigeninteresse daran haben, die Risiken dieses Projektes zu
niedrig darzustellen, um das Projekt zu realisieren. Hier hilft
ein sehr einfacher Mechanismus korrigierend: Es gilt klarzustellen (und gegebenenfalls durch das Tantiemensystem abzusichern), dass Risiken genau die Ursachen für potenzielle
Planabweichungen sind. Wer bei der Risikoeinschätzung weniger Risiken angibt, hat eine geringere Toleranz (Bandbreite) für zukünftige Abweichungen. Zudem ist es grundsätzlich
nicht akzeptabel, wenn im Nachhinein wesentliche Planabweichungen auf Risiken zurück zu führen sind, die im Vorhinein
nicht identifiziert wurden. Letztlich ist es im Interesse der
Mitarbeiter, Risiken korrekt einzuschätzen. Wer die Risiken zu
hoch einschätzt, wird die entsprechenden Projekte und Aktivitäten nicht durchführen können bzw. keine weiteren Budgets
für seinen Tätigkeitsbereich bekommen, da mit der Risikohöhe
auch die erwarteten Gewinne steigen müssen. Wer umgekehrt
Risiken unterschätzt oder gar verschweigt, legt sich auf eine
Planungssicherheit fest, die er nicht gewährleisten kann.
6. Fazit und Ausblick
Mit diesen und vielen hier nicht genannten Schwächen wird
sich das Risikomanagement in der nahen Zukunft auseinandersetzen müssen. Aus der Perspektive des wertorientierten
Managements sollte dem Risikomanagement ein ähnlich hoher Stellenwert zukommen wie dem Kostenmanagement oder
dem Vertriebsmanagement. Diese Stellung in den Unternehmenssteuerungssystemen und im Selbstverständnis der Unternehmensführung hat das Risikomanagement heute aber
noch lange nicht erreicht.
Erfolgreiches Unternehmertum lässt sich im Wesentlichen
dadurch charakterisieren, dass der Unternehmer genau die
richtigen Risiken eingegangen ist. Erfolgreiche Unternehmer
sind also nicht jene, die außergewöhnlich hohe Risiken eingehen. Sie haben vielmehr die Chancen und die damit verbundenen Gefahren gegeneinander abgewogen und die richtigen Risiken realisiert. Aus dieser Perspektive ist Risikomanagement
kein formales System, sondern eine Grundhaltung jeglichen
unternehmerischen Denkens – also geradezu das Charakteristikum eines Entrepreneurs.
Für die Zukunft des Risikomanagements kann man sich nur
wünschen, dass die formalen Risikomanagementsysteme verschwinden und vollständig von Controlling-, Unternehmens-
Risk, Compliance & Audit 3/2009
Risk
planungs- und Reportingsystemen assimiliert werden. Diese
müssen zukünftig nicht mehr nur Plan-Werte, sondern auch
Informationen über den Umfang möglicher Abweichungen von
diesen Planwerten verarbeiten und transportieren. Der Unternehmensführer wird seine Aufgabe zu einem ganz erheblichen
Teil als diejenige eines strategischen Risikomanagers verstehen. Dieser wägt bei allen grundlegenden Entscheidungen die
damit verbundenen Chancen und Gefahren gegeneinander ab
und geht die – bei heutigem Informationsstand – für die Zukunftssicherung des Unternehmens richtigen Risiken ein. Die
Zukunft des Risikomanagements ist also seine vollständige Integration in die Steuerungssysteme des Unternehmens und in
die Köpfe und Entscheidungsprozesse der Unternehmer.
Quellenverzeichnis und weiterführende Literaturhinweise:
Crouhy, M./Galai, D./Mark, R. (1998): Model Risk, in: Journal of Financial
Engineering, (1998); Vol. 7 (3/4), S. 267–288.
$*
*
Gleißner, W. (2001): Identifikation, Messung und Aggregation von Risiken, in:
Gleißner, W./Meier, G., Wertorientiertes Risiko-Management für Industrie und
Handel, Wiesbaden 2001, S. 111-138.
Gleißner, W. (2008): Grundlagen des Risikomanagements, München.
Gleißner, W./Romeike, F. (2005): Risikomanagement, Freiburg im Breisgau
2005.
Gleißner, W./Romeike, F. (2008): Analyse Subprime-Krise: Risikoblindheit und
Methodikschwächen, in: RISIKO MANAGER 21/2008, S. 1, 8-12.
Gleißner, W.; Füser, K. (2003): Leitfaden Rating, 2. Auflage, München 2003.
Gleißner, W. /Mott, Bernd P. (2008): Risikomanagement auf dem Prüfstand –
Nutzen, Qualität und Herausforderungen in der Zukunft, in: ZRFG Zeitschrift für
Risk, Fraud & Governance, 02/2008, S. 53-63.
Gleißner, W./Wolfrum, M. (2008): Eigenkapitalkosten und die Bewertung nicht
börsennotierter Unternehmen: Relevanz von Diversifikationsgrad und Risikomaß, in: Finanz Betrieb, 9/2008, S. 602-614.
Mandelbrot, B. B./Hudson, R. L. (2005): Fraktale und Finanzen: Märkte zwischen Risiko, Rendite und Ruin, München.
March, J. G./Shapira, Z. (1987): Managerial Perpectives on risk and risk taking,
Management Science 11/1987.
Romeike, F. (2008): Dynamische Finanzanalyse (DFA) in der Versicherungswirtschaft, in: Romeike, F./Müller-Reichart, M.: Risikomanagement in Versicherungsunternehmen, 2. Auflage, Weinheim 2008, S. 333-347.
Romeike, F./Heinicke, F. (2008): Schätzfehler von “modernen” Risikomodellen,
in: Finance, Heft 2/2008.
! "# $%&
'()
** +,
-. /
* 0*
) *1
" 2*
*-03*.
-4
*5
)!
6**1
Slovic, P. (2004): What‘s fear got to do with it? It’s affect we need to worry about,
in: Missouri Law Review, 69, 971-990.
Tversky, A./Kahneman, D. (1979): Prospect Theory: An Analysis of Decision
under Risk, in: Econometrica, Vol. 47, No. 2. (Mar., 1979), pp. 263-292.
von Nitzsch, R. (2003): Investitionslehre – Grundlagen, Modelle und Kalküle,
Aachen.
& 04
!" !"#$ % & '
( & ) * +(
",-.,/0 1,
!.".
Autoren:
2'3456
755,
-,'3 8","#$
Dr. Werner Gleißner ist Redakteur der Zeitschrift „Risk, Compliance & Audit“
sowie Vorstand der FutureValue Group AG, Leinfelden-Echterdingen, und Leiter
Risikoforschung der Marsh GmbH.
Frank Romeike ist Chefredakteur der Zeitschriften RISIKO MANAGER und
„Risk, Compliance & Audit“, Geschäftsführender Gesellschafter der RiskNET
GmbH und Vorstand der Risk Management Association e. V., München.
Risk, Compliance & Audit 3/2009
19